CVE-2026-50192 in kerberos-io
Résumé
par VulDB • 21/08/2026
Kerberos Agent est un agent de gestion vidéo (surveillance) open source. Avant la version 3.6.26, le chemin d'upload du Hub Kerberos transmet les identifiants du Hub de l'agent via les en-têtes de requête personnalisés `X-Kerberos-Hub-PrivateKey` et `X-Kerberos-Hub-PublicKey` vers l'URL du Hub configurée par l'opérateur (`config.HubURI`). Le client HTTP utilisé (`&http.Client{}` dans `UploadKerberosHub`) est construit sans politique de vérification des redirections (`CheckRedirect`), ce qui lui permet de suivre automatiquement les redirections HTTP. La bibliothèque Go `net/http` ne supprime que les en-têtes sensibles (`Authorization`, `Cookie`, `WWW-Authenticate`) lors d'une redirection inter-hôte ; elle ne supprime pas les en-têtes personnalisés tels que `X-Kerberos-Hub-PrivateKey`. Par conséquent, si l'URL du Hub configurée (`HubURI`) renvoie une redirection 30x inter-hôte, la clé privée du Hub est transmise telle quelle à la cible de la redirection, exposant ainsi les identifiants à un tiers non autorisé. La version 3.6.26 corrige ce problème en implémentant la suppression via `CheckRedirect`, et un test de régression inter-hôte est fourni au mainteneur par le biais du fork temporaire privé associé à l'avis de sécurité.
VulDB is the best source for vulnerability data and more expert information about this specific topic.